TCP மறுசெலுத்தல்கள் மற்றும் IPsec மறுஇயக்க மறுப்புகள்: ஒவ்வொரு அடுக்கையும் படியுங்கள்

மூன்று வெவ்வேறு கருவிகள் மூன்று வெவ்வேறு நகல்களைத் தெரிவிக்கின்றன, அவற்றில் ஒன்று மட்டுமே நீங்கள் நடவடிக்கை எடுக்கக்கூடிய வலைப்பிணைப்பு நிகழ்வு. TCP மறுசெலுத்தல் என்பது அனுப்புநர் ஒரு வரம்பை மீண்டும் அனுப்புவது, நகல் ACK என்பது பெறுநர் ஒரு உறுதிப்படுத்தலை மீண்டும் கூறுவது, ESP மறுஇயக்க மறுப்பு என்பது பாதுகாப்புச் சங்கம் ஏற்கனவே ஏற்றுக்கொண்ட வரிசை எண்ணை மறுப்பது. இவை மூன்றில் எதுவும் மற்றவற்றைக் குறிக்காது. அவற்றை ஒரு கதையாக இணைப்பதற்கு முன் ஒவ்வொரு எண்ணிக்கையையும் அதை உருவாக்கும் அடுக்கில் படியுங்கள்.

ஒருபோதும் ஒரே நிகழ்வை அளக்காத மூன்று எண்ணிக்கைகள்

TCP மறுசெலுத்தல் குறியீடு என்பது அனுப்புநர் மீண்டும் ஒரு வரிசை வரம்பைக் கம்பியில் வைத்துள்ளார் என்பதாகும். இழப்பு அதற்கு ஒரு காரணம், மேலும் உங்களிடமுள்ள பிடிப்பில் அசல் பாக்கெட் அல்லது நேரத்தை விளக்கும் உறுதிப்படுத்தல் இல்லாமல் இருக்கலாம். நகல் ACK என்பது பெறுநர் TCP மீட்பு விதிகளின் கீழ் ஒரு குவிப்பு உறுதிப்படுத்தலை மீண்டும் கூறுவது, இது பயன்பாட்டின் நகல் எழுத்தும் அல்ல, தரவின் இரண்டாவது நகலும் அல்ல.

ESP அதன் சொந்த வரிசை இடத்தில் செயல்படுகிறது. ஒவ்வொரு பாதுகாப்புச் சங்கமும் அது அனுப்பும் பாக்கெட்டுகளுக்கு எண்ணிடுகிறது, பெறுநர் ஏற்கனவே ஏற்றுக்கொண்ட எண்களின் ஒரு சாளரத்தை வைத்திருக்கிறார், எனவே இரண்டு முறை வரும் ESP பாக்கெட் அந்த விதிகளின் அடிப்படையில் மட்டுமே நீக்கப்படுகிறது. எனவே மீண்டும் அனுப்பப்பட்ட TCP பகுதி புதிய வரிசை எண்ணுடன் புதிய ESP பாக்கெட்டில் பயணிக்கிறது, இது இரண்டு அடுக்குகளிலும் சரியான நடத்தை. அதே பைட்டுகள் ஒரு எண்ணிக்கையில் புதியதாகவும் மற்றொன்றில் பழையதாகவும் தோன்றலாம், எந்த அடுக்கும் பொய் சொல்லவில்லை.

பகுப்பாய்வி என்ன பார்க்க முடியும், என்ன முடியாது

பகுப்பாய்வியின் சொல்லகராதியில் தொடங்குங்கள், ஏனெனில் வடிகட்டி பெயர்கள் முனைப்புள்ளிகளின் உட்புறத்தை அல்ல, கவனிப்புகளை விவரிக்கின்றன. கருவி பயன்படுத்தும் அதே பெயர்களில் எண்ணுவது உண்மையில் என்ன அளக்கப்பட்டது என்பதில் நேர்மையாக வைத்திருக்கும். முழுமையற்ற பிடிப்பிலிருந்து வரும் எண்ணிக்கை கம்பியில் நடந்ததின் எண்ணிக்கை அல்ல, தப்பிப்பிழைத்ததின் எண்ணிக்கை.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

அந்த எண்களுக்கு அருகிலுள்ள நிபுணர் தகவலைப் படியுங்கள், ஏனெனில் செக்சம் மற்றும் வரிசை பற்றிய எச்சரிக்கைகள் அவை எவ்வளவு எடைக்குத் தகுதியானவை என்பதை மாற்றுகின்றன. இரண்டு உணரிகளின் இணைந்த தடம் ஒரு சட்டகத்தை இரண்டு முறை காட்டலாம், இரண்டு நகல்களையும் எண்ணுவது ஒருபோதும் நடக்காத மீட்பு நிகழ்வை உருவாக்குகிறது.

ESP எண்ணிக்கைகள் கர்னல் நிலையில் வாழ்கின்றன

ESP வரிசை எண்கள் TCP ஓட்டத்திற்கு அல்ல, பாதுகாப்புச் சங்கத்திற்கு உரியவை, எனவே நுழைவாயிலே கேட்க வேண்டிய இடம். நிலை பட்டியல் ஒவ்வொரு சங்கத்திற்கும் பாக்கெட் மற்றும் பிழை எண்ணிக்கைகளைத் தெரிவிக்கிறது, அவற்றை எந்தப் பிடிப்பும் மீண்டும் கட்டமைக்க முடியாது.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 வரிசை எண்ணையும் அதைப் பயன்படுத்தும் மறுஇயக்க எதிர்ப்புச் சாளரத்தையும் வரையறுக்கிறது, அதனால்தான் எதுவும் தவறில்லாதபோதும் எண்ணிக்கை உயர்கிறது. தொடர்புடைய TCP அசாதாரணமின்றி ஒரே மாதிரியான வெளிப்புற வரிசை எண்கள் மறுசெலுத்தல் புயலை நோக்கி அல்ல, வேறு அனுப்புநர் அல்லது நகலெடுக்கப்பட்ட பாதையை நோக்கிக் குறிக்கின்றன. மறையாக்கப்பட்ட சுரங்கப்பாதையின் வெளிப்புறப் பிடிப்பு பொதுவாக உட்புற TCP வரிசை எண்களை மறைக்கிறது, எனவே உட்புற அடுக்கு என்ன செய்தது என்பதை நிரூபிக்க முடியாது. கொள்கை அனுமதிக்கும் இடத்தில் மட்டும் சுரங்கப்பாதைக்குள் பிடியுங்கள், தொடர்பற்ற எச்சரிக்கையை அமைதிப்படுத்த மறுஇயக்க எதிர்ப்பை ஒருபோதும் முடக்காதீர்கள்.

கவனிப்புப் புள்ளி பதிலை எங்கு மாற்றுகிறது

உயர்த்துவதற்கு முன் பிடிப்பு எவ்வாறு எடுக்கப்பட்டது என்பதை எழுதுங்கள்: இடைமுகம், பிடிப்பு செயல்முறை இழப்புகளைத் தெரிவித்ததா, மற்றும் நேர முத்திரைகள் உணரிகளுக்கிடையே ஒப்பிடக்கூடியதா. ஒரு கவனிப்புப் புள்ளி ஒரு பாதையின் இரு முனைகளையும் பார்க்க முடியாது, எனவே பெறுநரின் நடத்தை பற்றிய எந்தக் கூற்றும் அளவீடு அல்ல, ஊகம். நுழைவாயிலில் எடுத்த தடமும் புரவலனில் எடுத்த தடமும் சுமையின் கீழ் வரிசையைப் பற்றி உடன்படா, அந்த வேறுபாடு பொதுவாகச் சுரங்கப்பாதைக்கு அல்ல, பிடிப்புக்கு உரியது. இரு பார்வைகளைத் தொடர்புபடுத்துவதே எண்ணிக்கையைச் சான்றாக மாற்றுகிறது.

அனுமதிக்கப்பட்ட ஒரு பயன்பாட்டு ஓட்டத்தைப் பயன்படுத்தி அதே தருணத்தில் பிடிப்பு எண்ணிக்கைகளுக்கு அருகில் முனைப்புள்ளிகளின் எண்ணிக்கைகளைப் பதிவு செய்யுங்கள். எண்கள் உடன்படவில்லை என்றால் நிகழ்வை உடைமையாகக் கொண்ட அடுக்கை நம்பி, மறுதலையை எதிர்மறை நிரூபிக்கப்படும் வரை கவனிப்புக் கலைப்பொருளாகக் கருதுங்கள். அந்த விதி சுரங்கப்பாதை அமைப்பைத் தொடாமல் இந்த டிக்கெட்டுகளில் பெரும்பாலானவற்றைத் தீர்க்கிறது.

எண்களைச் சரியான வரிசையில் படித்தல்

கேள்வி கேட்கப்பட்ட அடுக்கில் தொடங்குங்கள்: TCP எச்சரிக்கைக்கு TCP பிடிப்பிலிருந்து பதில், ESP மறுப்புக்கு நுழைவாயிலில் உள்ள பாதுகாப்புச் சங்க எண்ணிக்கைகளிலிருந்து பதில். அதன் பிறகே இரு பார்வைகளும் ஒரே பாக்கெட்டை விவரிக்கின்றனவா எனக் கேளுங்கள். இரு அடுக்குகளும் தேவைப்படும் முடிவு இரண்டையும் பெயரிட வேண்டும், ஏனெனில் TCP குறியீட்டை மட்டும் நம்பிய சுரங்கப்பாதை பற்றிய கூற்று ஊகம்.

ஒவ்வொரு கண்டுபிடிப்புக்கும் அடுக்கு, எண்ணிக்கை மற்றும் கவனிப்புப் புள்ளியைப் பதிவு செய்யுங்கள், அடுத்த வாசகர் மூன்று நிகழ்வுகளை ஒரு கற்பனைக் கோளாறில் இணைக்க மாட்டார். அந்த மூன்று புலங்களுடன் உயர்த்துங்கள், திருத்தம் பொதுவாக முதல் ஒன்றிலிருந்தே வரும்.